IPsec трафик селекторлору: алар эмнени камтыйт жана эмнени камтыбайт

Трафик селекторлору IPsec келишими коргогон ички трафикти атайт, ал эми жуп божомол менен эмес, сүйлөшүү аркылуу аныкталат. Эки чекки чекит бири-бирин мыкты аутентификациялай алат жана баары бир кайсы пакеттер туннелдин ичинде жатканы тууралуу макулдаша албай калышы мүмкүн. Бул макулдашпоочулук байланыш абалында көрүнбөйт, ал адатта соо туннель тууралуу билдирет. Селекторлорду эки тараптан окуп, анан бир багытты ээрчүү аны саясатты канча өңдөсөңүз да тезирээк табат.

Аларды эки тараптан окуңуз

Ар бир чекки чекит өз тарабын жергиликтүү, ал эми экинчи тарабын алыскы деп сүрөттөйт. Ошондуктан бир эле префикстер жубу эки конфигурацияда орундары алмашкан түрдө көрүнөт, жана бул туура, карама-каршы эмес. Иштеп жаткан келишим кагазда туура эмес көрүнгөндө биринчи жасала турган нерсе — көз карашты тескери буруу. Эки файлды орундарын алмаштырбастан катар салыштыруу жок болгон дал келбестикти жаратат.

Маанилер ар дайым жалгыз кошумча тармактар эмес. IKEv2 селекторлору дарек диапазондорун, протокол номерлерин жана порт диапазондорун алып жүрө алат, жана ушундайча саясат бүт тармактын ордуна бир кызматты коргойт. Көздөлгөн трафиктен тар селектор айрым багыттарды алып жүрүп, калгандарын үнсүз чыгарып салган туннель жаратат.

Бир нерсени өзгөртүүдөн мурун эки тарапты бир таблицага жазыңыз. Бул көнүгүү адатта конфигурация файлына тийбестен эле маселени чечет.

Тарылтуу — жооп берүүчүнүн чечими

Баштоочу сунуш кылат, ал эми жооп берүүчү ички гана топтомду кабыл ала алат. IKEv2 жооп берүүчүгө сунушталган трафик селекторлорун тарылтууга уруксат берет, жана тарылтылган натыйжа чындыгында орнотулган нерсе. Ошондуктан баштоочунун конфигурациясын окуу келишимди эмес, сунушту сүрөттөйт.

Ошондуктан кардарга кошулган кошумча тармак иштеп жаткан туннель жаратып, жаңы багытты баары бир четке кагышы мүмкүн. Сервер сунушту өз саясаты уруксат кылган деңгээлге чейин тарылтты, ал эми кардардын файлы дагы эле кененирээк диапазонду тизмелейт. Сүйлөшүлгөн абал гана чындыкты көрсөтөт: Linux системасында ip xfrm policy жана strongSwan IKEv2 документтериндеги child SA тизмеси суралганын эмес, орнотулганын билдирет. Экөө кайчы келгенде, өзгөртүлүүчү нерсе — жооп берүүчүнүн саясаты.

Четке кагылган сунуш тарылтылгандан башка симптом. Баш тартуу сүйлөшүү журналында көрүнөт жана child байланышын такыр калтырбайт.

Бир багытты башынан аягына чейин ээрчиңиз

Кардар колдоно турган чыныгы багытты жана ал үчүн колдоно турган баштапкы даректи тандаңыз, анан ошол жупту үч көз карандысыз чечимден өткөрүңүз. Маршрут жолду тандайт, селектор ошол жолдун корголгонун чечет, ал эми брандмауэр пакеттин уруксат берилгенин чечет. Ар бири өзүнчө ийгиликсиз болушу мүмкүн, ал эми кенен селектор калгандарынын бирин да оңдобойт.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Маршрут суроосу пакетти алып жүрө турган интерфейс менен баштапкы даректи атайт. Саясаттардын тизмеси ошол жуп үчүн дал келүүчү туннель саясатынын барын, анын багыты менен деңгээлин кошуп көрсөтөт. SA тизмеси сүйлөшүлгөн child селекторлорун эсептегичтер менен бирге көрсөтөт, ошондуктан трафик сыналгандан кийин нөл пакеттүү child байланышы жөнөтүлүп жатканды чыгарып салган селекторлордун белгиси. Үч буйрук, үч башка жооп, жана алардын бирөө гана үнсүз түшүүнү түшүндүрөт.

Эгер колдонмо дагы эле ийгиликсиз болуп жатканда child эсептегичтери кыймылдаса, маселе туннелдин артында. Бул иликтөөнү селекторлорго эмес, алыскы хосттун угуучусуна же брандмауэрине өткөрөт.

Эки максатты өзүнчө кармаңыз

Кеңсе кошумча тармагын коргоо жана бардык серептөөнү алыскы чыгуу аркылуу жөнөтүү — ар башка селекторлору бар ар башка талаптар. Бирөө үчүн курулган профиль экинчисине сейрег жарашат, ал эми аларды аралаштыруу же агымга, же бузулган бөлүнүшкө алып келет. Корголгон диапазонду кеңейтүү эки чекки чекитти жана алардын жөнөтүү саясатын өзгөртүүнү билдирет, анткени бир тараптуу өзгөртүү четке кагылган сунушка айланат. Кичине оңдоодон кийин иштеп жаткан туннелдин ишин токтотуусунун эң кеңири тараган жолу ушул.

Селекторлор криптографиялык камтууну сүрөттөйт, маршруттар жолдорду тандайт, ал эми колдонмолор өз уруксаттарын аткарат. Баарын камтыган туннель да loopback'ке байланган кызматка жете албайт, ал эми туннелге кирген маршрут дагы эле багытты камтыган селекторду талап кылат. Үчөөнү тең бир сыноо суроосуна каршы текшериңиз, жана дал келбестик өзүн өзү атайт.